当前位置：首页 > 科技 > 知识百科

容器云架构 | 了解 Kubernetes 网络模型

来源：责编：时间：2023-08-07 16:29:56 127观看

导读 Kubernetes 网络使您能够在 k8s 网络内配置通信。它基于扁平网络结构，无需在主机和容器之间映射端口。Kubernetes 网络支持容器化组件之间的通信。这种网络模型的主要优点是

Kubernetes 网络使您能够在 k8s 网络内配置通信。它基于扁平网络结构，无需在主机和容器之间映射端口。

Kubernetes 网络支持容器化组件之间的通信。这种网络模型的主要优点是不需要在主机和容器之间映射端口。然而，配置 Kubernetes 网络模型并不是一件容易的事。在本文中，您将了解什么是 Kubernetes 网络，探索常见的实现，并发现关键的 Kubernetes 网络变化。

什么是 Kubernetes 网络?

Kubernetes (k8s) 是一个开源容器编排平台。您可以使用它来自动化本地或云中容器的部署、更新和操作。使用 k8s，您可以跨多个基础架构管理容器化工作负载，而无需担心操作系统或环境。

Kubernetes 网络是 k8s 用来实现其组件之间通信的模型。它基于扁平的网络结构，不需要你在主机和容器之间映射端口。尽管 Kubernetes 网络设置起来可能是一个挑战，但它是任何 k8s 操作的重要组成部分，并且您需要了解它才能成功部署。

常见的 Kubernetes 网络实现

使用 Kubernetes 时，平台会强制实施需要第三方工具来实现的网络模型。您可以选择许多第三方工具，但以下三个是流行的选项。

Flannel——一种为 k8s 设计的开源网络结构。Flannel 通过每个主机上的二进制代理运行。该代理将子网租用分配给主机并使用 etcd 来存储配置数据。Project Calico——一个开源网络供应商和政策引擎。Calico 使您能够创建一个可扩展的网络解决方案来连接 k8s pod。它还使您能够在主机网络或服务网格层上实施安全策略。Weave Net — 一种专有网络工具包，可用于创建虚拟网络。Weave Net 包括弹性、可扩展性、安全性、多播网络和服务发现等功能。它基于去中心化架构，不需要任何外部配置服务或存储。Kubernetes 网络变化

在标准的 Kubernetes 部署中，您应该注意多种网络变化。以下是需要了解的最常见的网络情况。

容器到容器网络

网络的高级视图描述了直接与以太网设备通信的设备或虚拟机。然而，实际上(至少对于 Linux)，您机器上的每个进程都在网络命名空间内进行通信。

这个命名空间创建了一个逻辑网络堆栈，它有自己的网络设备、防火墙规则和路由。当您运行一个进程时，它默认分配给您的根网络命名空间。这为进程提供了外部访问。

在 Kubernetes 中，您的容器被分组为 pod，每个 pod 都有一个共享的命名空间。在这个 pod 中，所有容器都具有相同的端口和 IP 地址以及端口空间。为了通信，Pod 中的容器可以使用 localhost，因为它们都在同一个命名空间中运行。如果不同 Pod 中的容器需要通信，则您正在使用下面描述的 Pod 到 Pod 网络过程。

Pod 到 Pod 网络

Pod 到 Pod 网络可以发生在同一节点内或跨节点的 Pod 中。您的每个节点都有一个无类域间路由 (CIDR) 块。该块是分配给该节点内的 Pod 的一组已定义的唯一 IP 地址。这确保了每个 pod 都被提供了一个唯一的 IP，而不管它在哪个节点。

当 Pod 需要通信时，会使用虚拟以太网设备 (VED) 或 veth 对来连接 Pod。Veth 对是分布在命名空间中的耦合网络接口。一对中的一个分配给根命名空间，另一个分配给 pod 命名空间。然后，VED 用作两个命名空间之间的中介连接。

Pod 到服务网络

Kubernetes 旨在允许根据需要动态替换 pod。这意味着 pod IP 地址不是持久的，除非采取特殊的预防措施，例如有状态的应用程序。为了解决这个问题并确保保持与 Pod 之间的通信，Kubernetes 使用了服务。

Kubernetes 服务管理 pod 状态并使您能够随时间跟踪 pod IP 地址。这些服务通过将单个虚拟 IP(集群 IP)分配给一组 pod IP 来抽象 pod 地址。然后，发送到虚拟 IP 的任何流量都会分发到相关联的 pod。

此服务 IP 允许根据需要创建和销毁 pod，而不会影响整体通信。它还使 Kubernetes 服务能够充当集群内负载均衡器，根据需要在关联的 pod 之间分配流量。

互联网到服务网络

大多数部署所需的最终网络情况是在 Internet 和服务之间。无论您是将 Kubernetes 用于内部还是外部应用程序，您通常都需要 Internet 连接。这种连接使用户能够访问您的服务和分布式团队进行协作。

在设置外部访问时，您需要使用两种技术——出口和入口。您可以使用白名单或黑名单来设置这些策略，以控制进出网络的流量。

Egress(出口)：出口是将流量从您的节点路由到外部连接的过程。它通常通过连接到您的虚拟私有云 (VPC) 的 Internet 网关完成。此网关使用网络地址转换 (NAT) 在您的用户和您的节点所在的机器之间映射 IP。但是，它无法映射到您节点上的各个 Pod。对于这一步，Kubernetes 使用 IP 表和集群 IP 来完成通信。Ingress：Ingress 是 Egress 的相反过程，涉及从外部客户端到您的 Kubernetes 服务的通信。它作为一组规则运行，定义允许哪些连接以及阻止哪些连接与您的服务进行通信。结论

Kubernetes 网络使您能够在 k8s 网络内配置通信。它基于扁平网络结构，无需在主机和容器之间映射端口。但是，要强制实施此网络模型，您需要使用第三方工具(开源或付费的)，例如 Flannel、Project Calico 和 Weave Net。

此外，在配置 Kubernetes 网络时，您需要考虑某些网络方面，这在传统网络中是不会遇到的。其中包括容器到容器网络、Pod 到 Pod 网络、Pod 到服务网络和 Internet 到服务网络。请务必妥善规划您的网络，因为错误配置可能会导致漏洞。

本文链接：//www.dmpip.com//www.dmpip.com/showinfo-119-2178-0.html容器云架构 | 了解 Kubernetes 网络模型

声明：本网页内容旨在传播知识，若有侵权等问题请及时与本网联系，我们将在第一时间删除处理。邮件：2376512515@qq.com

上一篇：云原生 PostgreSQL 集群 - PGO：五分钟快速上手

下一篇：云安全日报220224：IBM混合云数据库发现执行任意代码漏洞,需要尽快升级

标签：

热门焦点

JavaScript 混淆及反混淆代码工具

介绍在我们开始学习反混淆之前，我们首先要了解一下代码混淆。如果不了解代码是如何混淆的，我们可能无法成功对代码进行反混淆，尤其是使用自定义混淆器对其进行混淆时。什么是混
摸鱼心法第一章——和配置文件说拜拜

为了能摸鱼我们团队做了容器化，但是带来的问题是服务配置文件很麻烦，然后大家在群里进行了“亲切友好”的沟通图片图片图片图片对比就对比，简单对比下独立配置中心和k8s作为配
从 Pulsar Client 的原理到它的监控面板

背景前段时间业务团队偶尔会碰到一些 Pulsar 使用的问题，比如消息阻塞不消费了、生产者消息发送缓慢等各种问题。虽然我们有个监控页面可以根据 topic 维度查看他的发送状态，
JVM优化：实战OutOfMemoryError异常

一、Java堆溢出堆内存中主要存放对象、数组等，只要不断地创建这些对象，并且保证 GC Roots 到对象之间有可达路径来避免垃圾收集回收机制清除这些对象，当这些对象所占空间超过
ESG的面子与里子

来源 | 光子星球撰文 | 吴坤谚编辑 | 吴先之三伏大幕拉起，各地高温预警不绝，但处于厄尔尼诺大“烤”之下的除了众生，还有各大企业发布的ESG报告。ESG是“环境保
国行版三星Galaxy Z Fold5/Z Flip5发布售价7499元起

2023年8月3日，三星电子举行Galaxy新品中国发布会，正式在国内推出了新一代折叠屏智能手机三星Galaxy Z Fold5与Galaxy Z Flip5，以及三星Galaxy Tab S9
三星获批量产iPhone 15全系屏幕：苹果史上最惊艳直屏

按照惯例，苹果将继续在今年9月举办一年一度的秋季新品发布会，有传言称发布会将于9月12日举行，届时全新的iPhone 15系列将正式与大家见面，不出意外的话
iQOO Neo8 Pro评测：旗舰双芯加持最强性能游戏旗舰

【Techweb评测】去年10月，iQOO推出了一款Neo7手机，该机搭载了联发科天玑9000+，配备独显芯片Pro+，带来了同价位段最佳的游戏体验，一经上市便受到了诸多用
最薄的14英寸游戏笔记本电脑 Alienware X14已可以购买

2022年1月份在国际消费电子展(CES2022)上首次亮相的Alienware新品——Alienware X14现在已经可以购买了，这款笔记本电脑被誉为世界上最薄的 14 英寸游戏笔